CoreShop ürününde Agent/GetGoodsPageList üzerinde order parametresi ile SQL enjeksiyonu

ÖzetTürkçe

CoreShop (CoreUnion) 1.5.5 ve önceki sürümlerinde, api/Agent/GetGoodsPageList uç noktasındaki order parametresi ORDER BY ifadesine eklenmektedir. Bu parametre yeterince temizlenmediği için kimlik doğrulaması yapılmadan SQL enjeksiyonu gerçekleştirilebilir. Etkilenen sistemler, bu uç noktaya erişimi olan tüm CoreShop kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan alt sorgular ekleyerek üye hesaplarını ve sipariş bilgilerini boolean tabanlı veya zamanlamaya dayalı kör SQL enjeksiyonu teknikleriyle çekebilir.

Ne yapmalı?

1. Kaynak depodaki düzeltme ve yayınlanmış daha yeni bir sürüm bilgisi için üreticinin duyurularını kontrol edin; 1.5.5 ve önceki sürümler etkilenmektedir. Genel öneri
2. Düzeltme yayımlanana kadar api/Agent/GetGoodsPageList uç noktasına dış erişimi ağ düzeyinde kısıtlayın veya bu uç noktayı web sunucusu ya da ters vekil katmanında engelleyin. Genel öneri
3. order parametresine yalnızca izin verilen sütun adlarını kabul eden bir beyaz liste uygulanmasını ya da bu parametrenin kullanımının kaldırılmasını uygulama geliştiricilerinden talep edin. Genel öneri
4. Veritabanı kullanıcısının yetkilerini en aza indirin, özellikle gereksiz tablolara ve sistem tablolarına okuma erişimini kaldırın. Genel öneri

Ek önlemler

• Web sunucusu ve uygulama günlüklerinde GetGoodsPageList uç noktasına gelen olağandışı order parametresi değerlerini, özellikle SELECT, alt sorgu ve zamanlama fonksiyonları içerenleri izleyin. Genel öneri
• Üye hesaplarına ve sipariş tablolarına yönelik beklenmedik sorgu veya veri dışa aktarma faaliyetlerini düzenli olarak denetleyin. Genel öneri
• Sistemde kullanılan CoreShop sürümünü envanterinizde kayıt altında tutun ve yeni güvenlik duyurularını takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar9 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ommit/e40085b81d78ea55790305bc4a1592309b294048 Yama
• github.com/CoreUnion/CoreShop/issues/20 Üçüncü taraf
• hackmd.io/…Penguinnn/coreshop-goods-orderby-sql-injection Üçüncü taraf
• vulncheck.com/…-via-order-parameter-in-agent-getgoodspagelist Üçüncü taraf
• github.com/….Net.Web.WebApi/Controllers/AgentController.cs Diğer
• github.com/….Net.Repository/Good/CoreCmsGoodsRepository.cs Diğer
• github.com/CoreUnion/CoreShop Diğer

Kayıt geçmişi

1. 30 Eki 2026 17:16Yayımlandı

İlgili açıklar

• 7,5 CVE-2026-119655CoreShop ürününde order parametresi üzerinden SQL enjeksiyonu (GetGoodsPageList)
• 6,5 CVE-2026-15272Web 2.0 Directory <= 2.10.12 - Unauthenticated SQL Injection via 'w2dc_level_filter' Parameter
• 7,5 CVE-2026-109197WP Directory Kit eklentisinde kimlik doğrulaması gerektirmeyen SQL enjeksiyonu
• 5,3 CVE-2026-101325Newsletters <= 4.18.1 - Authenticated (Subscriber+) SQL Injection via 'id' Parameter
• 6,5 CVE-2025-9462WP2LEADS <= 3.5.6 - Authenticated (Subscriber+) SQL Injection via order Parameter
• 7,5 CVE-2026-119163FunnelKit Automations eklentisinde kimlik doğrulamasız SQL enjeksiyonu (bwfan_cart_id)